Cloud SQL Auth Proxy kontra rotta VPN diretta lejn id-database
L-Auth Proxy u rotta VPN diretta jsolvu żewġ nofsijiet differenti tal-istess problema. Qabbel l-ewwel l-awtorizzazzjoni tal-konnettur, il-portijiet u d-dħul fid-database.
Hemm żewġ modi sensibbli biex tasal għal istanza privata ta' Cloud SQL minn laptop fuq il-VPN. Wieħed huwa konnessjoni diretta għall-indirizz privat tal-istanza mir-rotta li diġà għandek. L-ieħor huwa l-Cloud SQL Auth Proxy, li jisma' fuq loopback u jiftaħ hu l-konnessjoni lejn Cloud SQL. Dawn huma inqas prodotti kompetituri milli żewġ tweġibiet differenti għall-mistoqsija min iżomm il-kredenzjali u min iżomm ir-rotta. Għażla ħażina normalment tidher bħala żball ta' awtorizzazzjoni li jinqara bħala żball tan-netwerk.
Hawn hi l-paragun li kont inpoġġi quddiem tim, segwit mill-verifiki li fil-fatt jiddeċiduh.
Żewġ toroq lejn l-istess istanza
It-triq diretta tuża r-rotta private-services-access min-netwerk tiegħek fil-VPC tal-proġett. Il-klijent tiegħek jitkellem PostgreSQL mal-indirizz privat tal-istanza, u l-konnessjoni tgħix jew tmut fuq l-irouting, ir-regoli tal-firewall u l-kredenzjali tad-database.
It-triq tal-proxy tuża l-istess rotta iżda żżid proċess lokali. Il-proxy jawtentika mal-Google API bil-default credentials tal-applikazzjoni tiegħek, jiftaħ konnessjoni mal-istanza permezz tal-konnettur u jesponi port loopback li l-klijent tiegħek jittratta bħala PostgreSQL. Żewġ qabżiet isiru tlieta, u dak tan-nofs iġorr l-awtorizzazzjoni IAM. Ir-rotta VPN tibqa' tiegħek biex iżżommha, u l-proxy qatt ma jaraha bħala sostitut għal dik il-verifika.
X'inhu fil-fatt jawtorizza kull triq
L-akbar differenza hija x'jista' jawtorizza kull għażla għalik:
| Question | Direct private IP | Auth Proxy |
|---|---|---|
| Who proves identity to the network | Your client, through the VPN and a database login | The proxy, through IAM to Google's API |
| IAM role needed for the connector | None | Cloud SQL Client or equivalent |
| Database user authentication | Always required | Still required unless IAM database authentication is enabled |
| Shape of the local leg | Client to instance | Client to loopback, proxy to instance |
Il-verifika IAM tal-proxy u d-dħul fid-database huma żewġ bibien separati, u t-tgħadd minn wieħed ma jiftaħx l-ieħor. Tim li jixgħel il-proxy u jassumi li l-kont tal-applikazzjoni m'għadux meħtieġ se jqatta' nofs ta' jum fuq fallimenti ta' password li m'għandhom x'jaqsmu xejn man-netwerk.
Portijiet u rotot, ħdejn xulxin
Il-proxy jeħtieġ TCP 443 ħiereġ għall-API u TCP 3307 għall-konnessjoni tal-istanza, it-tnejn deskritti fil-ħarsa ġenerali tal-Auth Proxy ta' Google. Ir-rotta VPN tiegħek tkopri t-tieni; l-ewwel normalment joħroġ mit-triq tas-soltu.
Konnessjoni diretta teħtieġ li l-port PostgreSQL tal-istanza jkun jintlaħaq mir-rotta privata, li hija diskussjoni oħra tal-firewall. Jekk it-tim tan-netwerk tiegħek jippermetti biss 443 ħiereġ mis-subnets tal-klijenti, il-proxy jaqbel mingħajr tibdil ta' regola u t-triq diretta ma taqbilx. Dak il-fatt wieħed jiddeċiedi l-għażla aktar spiss minn kwalunkwe preferenza arkitettonika.
L-ebda waħda miż-żewġ toroq ma teħtieġ li l-istanza jkollha indirizz pubbliku, u l-ebda waħda ma tiġġustifika li jiżdied wieħed.
Fejn il-proxy ma jgħinx
Il-proxy ma jsewwix rotta nieqsa. Jekk ir-rotta private-services-access tkun nieqsa, jew il-VPN ma jġorrx, il-konnettur ifalli waqt li s-semmiegħ lokali jibqa' bilqiegħda hemm jisma', u din hija l-parti konfuża.
Lanqas ma jipproteġi l-parti bejn l-applikazzjoni tiegħek u l-proxy. Fuq laptop wieħed dik il-parti hija loopback u tajba. Jekk torbot is-semmiegħ ma' indirizz wildcard biex kollega jista' jasal għalih, tkun bnajt gateway tad-database mingħajr awtentikazzjoni u sejjaħtlu konvenjenza. Żommu fuq loopback u ħalli lill-kollega jikseb il-kredenzjali tiegħu stess.
U ma jġegħelx Private Service Connect u private services access ikunu skambjabbli. Istanza PSC teħtieġ l-arranġament DNS tagħha stess u s-sejħa --psc minflok il-forma --private-ip.
Tagħżel, u mbagħad tivverifika b'kull mod
Agħżel il-proxy meta trid IAM fit-triq, kredenzjali ta' żmien qasir u l-ebda bidla fil-firewall li jidħol.
Agħżel it-triq diretta meta klijent appoġġjat diġà jżomm kredenzjali b'saħħithom tad-database u t-tim tan-netwerk hu komdu jiftaħ il-port. B'kull mod, ivverifika b'mistoqsija vera minflok b'konnessjoni li tirnexxi: ikkonnettja, ħaddem qari wieħed fuq tabella magħrufa u ara x'jara s-server tas-sessjoni tiegħek.
Wara konnessjoni mill-ġdid tal-VPN, ittratta kredenzjali skaduti, rotta privata nieqsa u rifjut ta' dħul fid-database bħala tliet fallimenti differenti. Wieħed biss minnhom huwa problema tan-netwerk, u wieħed biss għandu qatt iwassal biex tinbidel regola tal-firewall.